Zarządzanie ryzykiem w przedsiębiorstwie: jak wygląda proces w 5 krokach?
Zarządzanie ryzykiem w przedsiębiorstwie to powtarzalny proces w pięciu krokach: identyfikacja, ocena, decyzja co z tym zrobić, wdrożenie kontroli i przegląd. Rejestr ryzyk jest narzędziem tego procesu, nie procesem samym w sobie. Punktem odniesienia jest ISO 31000:2018, która zawiera wytyczne, nie wymagania, i nie służy do certyfikacji.
Na czym polega proces zarządzania ryzykiem?
Na pięciu krokach powtarzanych w ustalonym rytmie. Każdy krok kończy się czymś zapisanym, inaczej kolejny nie ma na czym się oprzeć.
- 1
Identyfikacja
Zbierzcie zdarzenia, które mogą zaszkodzić, w formie zdania o zdarzeniu, nie o obszarze. „Odchodzi jedyna osoba znająca rozliczenia” zamiast „kadry”. Źródła: rozmowy z kierownikami, wnioski z audytów, incydenty z ostatniego roku.
- 2
Ocena przed zabezpieczeniami
Dla każdego zdarzenia prawdopodobieństwo i wpływ w skali od 1 do 5. Wynik to iloczyn, bo przy sumie zdarzenie prawie pewne o znikomym skutku wychodzi równie ważne co rzadkie i katastrofalne.
- 3
Decyzja, co z tym robimy
Cztery drogi: unikamy (nie robimy tego wcale), ograniczamy (wdrażamy kontrole), przenosimy (ubezpieczenie, zapis w umowie) albo świadomie akceptujemy, z zapisanym powodem.
- 4
Wdrożenie kontroli i ponowna ocena
Kontrola ma rodzaj: zapobiega, wykrywa albo naprawia. Po jej wdrożeniu oceniamy ryzyko jeszcze raz. Ocena po zabezpieczeniach nie może być wyższa niż przed nimi.
- 5
Przegląd w rytmie zależnym od poziomu
Ryzyka krytyczne co miesiąc, wysokie co kwartał, średnie co pół roku, niskie raz w roku. Przegląd sprawdza dwie rzeczy: czy ocena nadal jest aktualna i czy kontrola nadal działa.
Kto odpowiada za ryzyka w firmie?
Trzy role, rozdzielone celowo. Właściciel ryzyka nim zarządza, właściciel kontroli ją utrzymuje, a zarząd ustala, ile ryzyka firma godzi się znosić.
| Rola | Za co odpowiada | Czego nie robi |
|---|---|---|
| Zarząd | Ustala próg tolerancji i rozstrzyga ryzyka ponad próg | Nie prowadzi rejestru na co dzień |
| Właściciel ryzyka | Aktualność oceny, plan działania, przegląd w terminie | Nie wykonuje wszystkich kontroli osobiście |
| Właściciel kontroli | Utrzymuje i testuje konkretne zabezpieczenie | Nie decyduje o akceptacji ryzyka |
| Koordynator rejestru | Pilnuje kompletności i rytmu przeglądów | Nie jest właścicielem cudzych ryzyk |
Najczęstszy błąd polega na tym, że wszystkie cztery role pełni jedna osoba, zwykle ta, która założyła rejestr. Wtedy ryzyka są opisane poprawnie i nikt poza nią nic z nimi nie robi.
Po co rozdzielać ryzyko brutto i netto?
Bo to jedyna rzecz, która odróżnia zarządzanie ryzykiem od listy obaw. Różnica między oceną przed i po zabezpieczeniach pokazuje, ile daje każda kontrola.
- Bez tej różnicy nie da się odpowiedzieć, po co firma utrzymuje kontrolę, która kosztuje czas i pieniądze.
- Nie da się też zauważyć, że kontrola przestała działać: ocena netto rośnie, choć nic innego się nie zmieniło.
- Tolerancję porównuje się z oceną po zabezpieczeniach, nie przed. Firma żyje z tym, co zostaje po kontrolach.
- Nieoceniony stan po kontrolach zapisuje się jako brak, nie jako równy brutto. „Nie wiemy” i „nic nie zmieniło” to dwie różne informacje.
- Ocena po zabezpieczeniach wyższa niż przed oznacza zwykle zamienione kolumny, bo kontrola, która podnosi ryzyko, nie jest kontrolą.
Czym proces różni się od samego rejestru ryzyk?
Rejestr to tabela, proces to rytm i role wokół niej. Sam wzór rejestru, kolumny i macierz 5 na 5 opisaliśmy osobno na stronie o rejestrze ryzyk.
Jeśli szukasz gotowych kolumn, przykładowych ryzyk i wzoru do pobrania, otwórz stronę o rejestrze ryzyk. Tutaj chodzi o to, co się wokół niego dzieje: kto zbiera ryzyka, kto ocenia, kto rozstrzyga akceptację i kiedy wszyscy do tego wracają.
ISO 31000:2018 podkreśla, że zarządzanie ryzykiem ma być częścią struktury, procesów, celów i strategii organizacji, a nie osobnym ćwiczeniem raz w roku. Norma zawiera wytyczne, nie wymagania, i nie jest przeznaczona do certyfikacji, więc nie ma czegoś takiego jak certyfikat ISO 31000.
Jak to wygląda w EXCORE?
Ryzyka są modułem rdzenia w CORE, w grupie Zgodność, a reguły procesu są wbudowane w formularz, nie w instrukcję obok.
- Ocena przed i po zabezpieczeniach stoi obok siebie w jednym formularzu, a wynik liczy się na żywo: 1 do 4 to ryzyko niskie, 5 do 11 średnie, 12 do 19 wysokie, 20 do 25 krytyczne.
- Cztery reguły blokują zapis: skala 1 do 5, netto nie wyższe niż brutto, ryzyko „pod kontrolą” wymaga właściciela, akceptacja wymaga uzasadnienia.
- Nad listą stoją trzy liczby: ile ryzyk przekracza próg tolerancji, ile czeka na przegląd i ile nie ma właściciela.
- Mapa ryzyk to siatka 5 na 5 układana po ocenie netto, a gdy jej nie ma, po ocenie brutto.
- Kontrola ma rodzaj zapobiega, wykrywa albo naprawia, skuteczność i osobę utrzymującą. Kontrola bez daty testu pokazuje się jako „nigdy nie sprawdzona”.
- Plan działania staje się zwykłym zadaniem z terminem, a nie osobnym bytem żyjącym tylko w rejestrze.
- Termin przeglądu trafia do kalendarza firmy, a przypomnienia idą domyślnie 30, 14, 7 i 0 dni przed terminem do właściciela ryzyka.
Ryzyko wiąże się przez panel Powiązania z procesem, umową albo decyzją, więc widać, czego dokładnie dotyczy. Wdrożenia otwieramy przez listę oczekujących.
Pytania
Czym zarządzanie ryzykiem w projekcie różni się od firmowego?
Horyzontem i rytmem. Ryzyka projektu mają termin, bo projekt się kończy, i przegląda się je na statusach, czasem co tydzień. Ryzyka firmowe trwają i wracają na przeglądach kwartalnych. Metoda oceny jest ta sama, inny jest tylko kalendarz i to, kto rozstrzyga akceptację.
Czy trzeba wdrażać ISO 31000?
Nie. Norma zawiera wytyczne, nie wymagania, i sam PKN wskazuje, że nie jest przeznaczona do certyfikacji. Warto z niej brać sposób myślenia, czyli wpięcie ryzyka w decyzje i procesy, a nie budować pod nią osobnej dokumentacji.
Jak ustalić próg tolerancji ryzyka?
Pytaniem o pieniądze i czas: jaka strata i jaka przerwa w działaniu są dla firmy do zniesienia bez decyzji zarządu. Odpowiedź przelicza się na wynik z macierzy. Próg ustalony raz i niezapisany nie działa, bo przy każdym ryzyku dyskusja zaczyna się od nowa.
Jak często przeglądać ryzyka?
Zależnie od poziomu: krytyczne co miesiąc, wysokie co kwartał, średnie co pół roku, niskie raz w roku. Dodatkowo po każdym zdarzeniu, które pokazało, że ocena była zła. Przegląd raz w roku dla wszystkich ryzyk jest wygodny w kalendarzu i bezużyteczny w praktyce.
Źródła
EXCORE jest otwierany dla pierwszych firm.
Zobaczmy, czy pasuje do Twojej organizacji. Zostaw kontakt, a umówimy prezentację.
Umów prezentację